Better Auth: Authentifizierungsumgehung im OAuth-Proxy-Plugin
Zusammenfassung
Das OAuth-Proxy-Plugin der Bibliothek Better Auth in den Versionen ab 1.5.0-beta.12 vor 1.7.7 vertraut Benutzerprofilen, die es entschlüsseln kann. Ein nicht authentifizierter Angreifer kann ein gefälschtes Profil mit der verifizierten E-Mail-Adresse eines Opfers erstellen und sich über die implizite Kontoverknüpfung als dieser Benutzer anmelden. Voraussetzung ist das OAuth-Proxy-Plugin mit einem Secret, das dem globalen Better-Auth-Secret entspricht, sowie cookiebasierter Anmeldestatus.
Betroffen
- better-auth ab 1.5.0-beta.12 vor 1.7.7 mit dem OAuth-Proxy-Plugin
- Nur, wenn das Proxy-Secret fehlt oder dem globalen Better-Auth-Secret entspricht, der Anmeldestatus in einem Cookie gespeichert wird und die implizite Kontoverknüpfung aktiviert ist (Standard)
Behoben in
- Behoben in better-auth 1.7.7; auf die aktuelle Patch-Version von 1.7.x aktualisieren
- Andere Better-Auth-Pakete auf derselben Release-Version halten
- Alle beteiligten Umgebungen gemeinsam aktualisieren; Status-Cookies vor dem Update werden abgelehnt
Umgehung
- In allen beteiligten Umgebungen ein starkes OAuth-Proxy-Secret setzen, das sich vom globalen Better-Auth-Secret unterscheidet
- account.storeStateStrategy auf "database" setzen (mögliche Wechselwirkung mit Magic Link beachten, wie im Advisory beschrieben)
- Das OAuth-Proxy-Plugin entfernen, falls es nicht benötigt wird
- Die Option accountLinking.disableImplicitLinking auf true zu setzen begrenzt die Übernahme, behebt die Schwachstelle aber nicht
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden
- EPSS 0.00288; CISA SSVC: Exploitation none, nicht automatisierbar
Unsere Empfehlung
- Alle better-auth- und @better-auth/*-Pakete inklusive Lockfiles und Wrapper-Bibliotheken inventarisieren
- Prüfen, ob das OAuth-Proxy-Plugin aktiviert ist und welches Secret es verwendet
- Auf 1.7.7 oder neuer aktualisieren, zuerst testen und alle Umgebungen gemeinsam aktualisieren
- Bis dahin eine der Workarounds anwenden
- Zusätzlich prüfen, ob Magic Link mit Social Sign-in verwendet wird, da dieser von einem verwandten, in 1.7.7 behobenen Advisory betroffen ist
- Authentifizierungsprotokolle auf unerwartete Anmeldungen an Benutzerkonten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r4xp-prcw-77qf github.com
- VulnCheck Advisory CVE-2026-110864 www.vulncheck.com
- Better Auth 1.7 Upgrade Guide better-auth.com
- VulDB CVE-2026-110864 vuldb.com
- Vulners VULNRICHMENT CVE-2026-110864 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.